CN114679295B - 防火墙安全配置方法及装置 - Google Patents

防火墙安全配置方法及装置 Download PDF

Info

Publication number
CN114679295B
CN114679295B CN202210094516.1A CN202210094516A CN114679295B CN 114679295 B CN114679295 B CN 114679295B CN 202210094516 A CN202210094516 A CN 202210094516A CN 114679295 B CN114679295 B CN 114679295B
Authority
CN
China
Prior art keywords
firewall
state
rule
target
security
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202210094516.1A
Other languages
English (en)
Other versions
CN114679295A (zh
Inventor
王瑞
胡有福
肖俊杰
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hangzhou DPTech Technologies Co Ltd
Original Assignee
Hangzhou DPTech Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hangzhou DPTech Technologies Co Ltd filed Critical Hangzhou DPTech Technologies Co Ltd
Priority to CN202210094516.1A priority Critical patent/CN114679295B/zh
Publication of CN114679295A publication Critical patent/CN114679295A/zh
Application granted granted Critical
Publication of CN114679295B publication Critical patent/CN114679295B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D30/00—Reducing energy consumption in communication networks
    • Y02D30/50—Reducing energy consumption in communication networks in wire-line communication networks, e.g. low power modes or reduced link rate

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本公开提供一种防火墙安全配置方法、装置、电子设备及计算机可读介质。该方法包括：云平台将安全规则配置到多个防火墙中；根据多个防火墙的状态返回信息生成防火墙规则状态表；在安全规则下发完毕后，基于所述防火墙规则状态表和处于预设状态的防火墙确定目标防火墙；基于所述防火墙规则状态表对所述目标防火墙的安全规则进行配置恢复。本申请涉及的防火墙安全配置方法、装置、电子设备及计算机可读介质，能降低由于安全规则配置造成的防火墙异常状况，从而降低业务故障、减低运营成本、增加用户良好体验。

Description

防火墙安全配置方法及装置
技术领域
本申请涉及计算机信息处理领域，具体而言，涉及一种防火墙安全配置方法、装置、电子设备及计算机可读介质。
背景技术
OpenStack覆盖了网络、虚拟化、操作系统、服务器等各个方面，其中 Neutron项目为OpenStack其他服务提供网络连接服务。核心服务为Network、 Subnet、Router，扩展服务为FWaaS等。由于软件实现的FWaaS功能，由于性能不足，不能满足用户的需求，故采用硬件FW实现FWaaS功能。通过给设备下发配置，来实现FWaaS功能的转移，安全规则的下发，将是转移安全功能的重中之重。
创建新的安全规则，需要把新配置的安全规则添加到已存在安全规则的前面或者后面。云平台的安全规则数据经过处理后，通过agent服务调用设备 restful接口下发到设备，此条安全规则根据所依赖的安全规则，添加到依赖的安全规则的前面或者后面。正常情况下，云平台的安全规则可以正常下发到硬件设备中，而在某些情况下，由于一些依赖配置在硬件设备上不存在或者其它原因导致安全规则未下发到设备上。
云平台的某一条安全规则没有成功下发到硬件设备，则会导致云平台后续下发与此条规则相关的安全规则到硬件设备时也会失败，严重影响业务。
因此，需要一种新的防火墙安全配置方法、装置、电子设备及计算机可读介质。
在所述背景技术部分公开的上述信息仅用于加强对本申请的背景的理解，因此它可以包括不构成对本领域普通技术人员已知的现有技术的信息。
发明内容
有鉴于此，本申请提供一种防火墙安全配置方法、装置、电子设备及计算机可读介质，能降低由于安全规则配置造成的防火墙异常状况，从而降低业务故障、减低运营成本、增加用户良好体验。
本申请的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本申请的实践而习得。
根据本申请的一方面，提出一种防火墙安全配置方法，该方法包括：云平台将安全规则配置到多个防火墙中；根据多个防火墙的状态返回信息生成防火墙规则状态表；在安全规则下发完毕后，基于所述防火墙规则状态表和处于预设状态的防火墙确定目标防火墙；基于所述防火墙规则状态表对所述目标防火墙的安全规则进行配置恢复。
在本申请的一种示例性实施例中，根据多个防火墙的状态返回信息生成防火墙规则状态表，包括：在防火墙的状态返回信息不为预设信息时，确定所述防火墙的安全规则下发异常；将所述异常记录更新到预设的防火墙规则状态表中。
在本申请的一种示例性实施例中，将所述异常记录到所述防火墙规则状态表中，包括：将下发异常的防火墙的标识作为所述防火墙规则状态表的主键；基于安全规则的更新时间、下发设备次数、异常标识、当前状态更新所述防火墙规则状态表。
在本申请的一种示例性实施例中，基于所述防火墙规则状态表和处于预设状态的防火墙确定目标防火墙，包括：基于预设时间间隔，周期性的基于所述防火墙规则状态表和处于预设状态的防火墙确定目标防火墙。
在本申请的一种示例性实施例中，基于所述防火墙规则状态表和处于预设状态的防火墙确定目标防火墙，包括：基于所述防火墙规则状态表提取带有异常标识的第一防火墙；提取处于预设状态的第二防火墙；基于第一防火墙和第二防火墙生成所述目标防火墙。
在本申请的一种示例性实施例中，基于所述防火墙规则状态表对所述目标防火墙的安全规则进行配置恢复，包括：提取所述防火墙规则状态表中所述目标防火墙的当前状态；基于所述当前状态对所述目标防火墙的安全规则进行配置恢复。
在本申请的一种示例性实施例中，基于所述当前状态对所述目标防火墙的安全规则进行配置恢复，包括：在所述当前状态为待执行恢复时，基于同步功能查看所述目标防火墙的修改变量；根据所述修改变量的状态对所述目标防火墙进行处理。
在本申请的一种示例性实施例中，基于所述当前状态对所述目标防火墙的安全规则进行配置恢复，包括：在所述当前状态为正在执行恢复时，获取所述安全规则的修改时间；将修改时间和当前时间进行对比；在对比结果超过时间阈值时，结束所述目标防火墙的同步并更新其当前状态。
在本申请的一种示例性实施例中，基于所述当前状态对所述目标防火墙的安全规则进行配置恢复，包括：在所述当前状态为已执行恢复时，基于同步功能查看所述目标防火墙的修改变量；根据所述修改变量的状态更新所述目标防火墙的当前状态并对所述目标防火墙进行处理。
根据本申请的一方面，提出一种防火墙安全规则的配置装置，该装置包括：下发模块，用于云平台将安全规则配置到多个防火墙中；状态模块，用于根据多个防火墙的状态返回信息生成防火墙规则状态表；目标模块，用于在安全规则下发完毕后，基于所述防火墙规则状态表和处于预设状态的防火墙确定目标防火墙；恢复模块，用于基于所述防火墙规则状态表对所述目标防火墙的安全规则进行配置恢复。
根据本申请的一方面，提出一种电子设备，该电子设备包括：一个或多个处理器；存储装置，用于存储一个或多个程序；当一个或多个程序被一个或多个处理器执行，使得一个或多个处理器实现如上文的方法。
根据本申请的一方面，提出一种计算机可读介质，其上存储有计算机程序，该程序被处理器执行时实现如上文中的方法。
根据本申请的防火墙安全配置方法、装置、电子设备及计算机可读介质，通过云平台将安全规则配置到多个防火墙中；根据多个防火墙的状态返回信息生成防火墙规则状态表；在安全规则下发完毕后，基于所述防火墙规则状态表和处于预设状态的防火墙确定目标防火墙；基于所述防火墙规则状态表对所述目标防火墙的安全规则进行配置恢复的方式，能降低由于安全规则配置造成的防火墙异常状况，从而降低业务故障、减低运营成本、增加用户良好体验。
应当理解的是，以上的一般描述和后文的细节描述仅是示例性的，并不能限制本申请。
附图说明
通过参照附图详细描述其示例实施例，本申请的上述和其它目标、特征及优点将变得更加显而易见。下面描述的附图仅仅是本申请的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是根据一示例性实施例示出的一种防火墙安全配置方法及装置的系统框图。
图2是根据一示例性实施例示出的一种防火墙安全配置方法的流程图。
图3是根据另一示例性实施例示出的一种防火墙安全配置方法的流程图。
图4是根据另一示例性实施例示出的一种防火墙安全配置方法的示意图。
图5是根据另一示例性实施例示出的一种防火墙安全配置方法的示意图。
图6是根据一示例性实施例示出的一种防火墙安全规则的配置装置的框图。
图7是根据一示例性实施例示出的一种电子设备的框图。
图8是根据一示例性实施例示出的一种计算机可读介质的框图。
具体实施方式
现在将参考附图更全面地描述示例实施例。然而，示例实施例能够以多种形式实施，且不应被理解为限于在此阐述的实施例；相反，提供这些实施例使得本申请将全面和完整，并将示例实施例的构思全面地传达给本领域的技术人员。在图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。
此外，所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施例中。在下面的描述中，提供许多具体细节从而给出对本申请的实施例的充分理解。然而，本领域技术人员将意识到，可以实践本申请的技术方案而没有特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知方法、装置、实现或者操作以避免模糊本申请的各方面。
附图中所示的方框图仅仅是功能实体，不一定必须与物理上独立的实体相对应。即，可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。
附图中所示的流程图仅是示例性说明，不是必须包括所有的内容和操作/ 步骤，也不是必须按所描述的顺序执行。例如，有的操作/步骤还可以分解，而有的操作/步骤可以合并或部分合并，因此实际执行的顺序有可能根据实际情况改变。
应理解，虽然本文中可能使用术语第一、第二、第三等来描述各种组件，但这些组件不应受这些术语限制。这些术语乃用以区分一组件与另一组件。因此，下文论述的第一组件可称为第二组件而不偏离本申请概念的教示。如本文中所使用，术语“及/或”包括相关联的列出项目中的任一个及一或多者的所有组合。
本领域技术人员可以理解，附图只是示例实施例的示意图，附图中的模块或流程并不一定是实施本申请所必须的，因此不能用于限制本申请的保护范围。
本申请涉及的技术缩略语解释如下：
OpenStack:是一个开源的云计算管理平台项目，由几个主要的组件组合起来完成具体工作。目标是提供实施简单、可大规模扩展、丰富、标准统一的云计算管理平台。它通过各种互补的服务提供了基础设施即服务(IaaS) 的解决方案，每个服务提供API以进行集成。
FWaaS：高级网络功能，主要为云环境路由器提供安全防护功能。
安全规则：FWaaS中的一种资源，基于5元组进行防护。
安全policy：FWaaS中的一种资源，policy为一组规则的集合，且是有顺序。
VFirewall：FWaaS功能的一种资源，需要关联Vrouter与安全policy。
有鉴于现有技术中的技术缺陷，本申请提出一种防火墙安全配置方法，能够在云平台下发规则到设备失败后，自动进行防火墙的配置恢复，云平台在下发安全规则到硬件设备失败后，根据下发返回结果对硬件设备上的安全规则进行检查，与云平台上的安全规则进行校验，保证硬件设备中的安全规则与云平台中的数据保持一致，降低由于某些原因导致云平台安全规则下发硬件设备失败造成业务故障的影响。
本申请的防火墙安全配置方法，能够在云平台安全规则未能成功下发到硬件设备时，让云平台安全规则在保证一定顺序的情况下，能够再次下发到硬件设备，从而保证其后续相关安全规则配置能够继续下发到硬件设备，最大程度保证云平台上的防火墙处于有效状态，同时保证安全规则能正确下发设备。最大程度上减低云平台安全规则不能下发造成的业务故障。
下面借助于具体的实施例，对本申请的内容进行详细说明。
图1是根据一示例性实施例示出的一种防火墙安全配置方法及装置的系统框图。
如图1所示，系统架构10可以包括防火墙设备101、102、103，网络104 和云平台105。网络104用以在防火墙设备101、102、103和云平台105之间提供通信链路的介质。网络104可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。
防火墙设备101、102、103通过网络104与云平台105交互，以接收或发送消息等。防火墙设备101、102、103上可以安装有各种安全监测类应用。
云平台105可以是提供各种服务的服务器，例如对防火墙设备101、102、 103所使用的安全规则进行维护的后台管理服务器。后台管理服务器可以将最新的安全规则下发到防火墙设备101、102、103。
云平台105可例如云平台将安全规则配置到防火墙设备101、102、103 中；云平台105可例如根据防火墙设备101、102、103的状态返回信息生成防火墙规则状态表；云平台105可例如在安全规则下发完毕后，基于所述防火墙规则状态表和处于预设状态的防火墙确定目标防火墙(可例如为防火墙设备101和102)；云平台105可例如基于所述防火墙规则状态表对所述防火墙设备101和102的安全规则进行配置恢复。
云平台105可以是一个实体的服务器，还可例如为多个服务器组成，需要说明的是，本申请实施例所提供的防火墙安全配置方法可以由云平台105 执行，相应地，防火墙安全规则的配置装置可以设置于云平台105中。
图2是根据一示例性实施例示出的一种防火墙安全配置方法的流程图。防火墙安全配置方法20至少包括步骤S202至S208。
如图2所示，在S202中，云平台将安全规则配置到多个防火墙中。
在S204中，根据多个防火墙的状态返回信息生成防火墙规则状态表。可例如，在防火墙的状态返回信息不为预设信息时，确定所述防火墙的安全规则下发异常；将所述异常记录更新到预设的防火墙规则状态表中。
更具体的，在安全规则下发到防火墙设备后会有状态返回信息，此时，若返回信息中的状态不是active、down、inactive，都在防火墙规则状态中进行记录，已做恢复数据之用。
更具体的，将所述异常记录到所述防火墙规则状态表中，包括：将下发异常的防火墙的标识作为所述防火墙规则状态表的主键；基于安全规则的更新时间、下发设备次数、异常标识、当前状态更新所述防火墙规则状态表。
在一个实施例中，可预先设定防火墙规则状态表的具体参数，并创建防火墙规则状态表dptech_firewall_times，防火墙规则状态表可记录防火墙在下发安全规则过程中是否有状态error情况。
防火墙规则状态表的具体参数和其对应的含义如下：
字段firewall_id该数据表的主键，firewalls的外键。
字段updated_time记录该条数据更新时间。
字段status记录该防火墙被下发设备的状态，0为待执行恢复，1为正在执行恢复，2为已执行恢复。
字段recovery_count下发设备次数。
字段firewall_error该id的防火墙状态是否为error。
在S206中，在安全规则下发完毕后，基于所述防火墙规则状态表和处于预设状态的防火墙确定目标防火墙。可基于预设时间间隔，周期性的基于所述防火墙规则状态表和处于预设状态的防火墙确定目标防火墙。设置防火墙的状态检测时间，周期性的调用状态检测并进行恢复。
在一个实施例中，可预先配置技术参数，可例如，在配置文件增加配置项firewall_time_status_recovery，表示恢复超时时间，默认为900秒。在超出改时间后将恢复状态改为0，下一次重新恢复。
在一个实施例中，可预先配置技术参数，可例如，在配置文件增加配置项firewall_status。
在一个实施例中，可预先配置技术参数，可例如，在配置文件增加 update_time，表示恢复周期，默认为600秒。即每过10分钟检测一次防火墙状态，对符合恢复要求的防火墙进行恢复。
在一个实施例中，可预先配置技术参数，可例如，在配置文件中增加配置项firewall_recovery_fail_count，表示最大恢复次数，默认为10次。当回复次数达到最大值，将不再恢复该防火墙。
在一个实施例中，可基于所述防火墙规则状态表提取带有异常标识的第一防火墙；提取处于预设状态的第二防火墙；基于第一防火墙和第二防火墙生成所述目标防火墙。
在一个具体的实施例中，当一个防火墙包含多条安全规则时，不论其中有几条规则下发设备未成功，只要最后一条成功，该防火墙的状态就是active，而防火墙规则状态表可以记录在该防火墙下发安全规则过程中是否有error状态。获取防火墙规则状态表中firewall_error为True并且恢复次数不超过最大恢复次数的防火墙标识，然后获取状态为DOWN、PENDING_CREATE、 PENDING_UPDATE、ERROR的防火墙标识，二者相加去重就是需要状态恢复的防火墙。
其中，最大恢复次数由配置的firewall_recovery_fail_count提取。
在S208中，基于所述防火墙规则状态表对所述目标防火墙的安全规则进行配置恢复。可例如，提取所述防火墙规则状态表中所述目标防火墙的当前状态；基于所述当前状态对所述目标防火墙的安全规则进行配置恢复。
根据本申请的防火墙安全配置方法，通过云平台将安全规则配置到多个防火墙中；根据多个防火墙的状态返回信息生成防火墙规则状态表；在安全规则下发完毕后，基于所述防火墙规则状态表和处于预设状态的防火墙确定目标防火墙；基于所述防火墙规则状态表对所述目标防火墙的安全规则进行配置恢复的方式，能降低由于安全规则配置造成的防火墙异常状况，从而降低业务故障、减低运营成本、增加用户良好体验。
应清楚地理解，本申请描述了如何形成和使用特定示例，但本申请的原理不限于这些示例的任何细节。相反，基于本申请公开的内容的教导，这些原理能够应用于许多其它实施例。
图3是根据另一示例性实施例示出的一种防火墙安全配置方法的流程图。图3所示的流程30是对图2所示的流程中S208“基于所述防火墙规则状态表对所述目标防火墙的安全规则进行配置恢复”的详细描述。
如图3所示，在S302中，提取所述防火墙规则状态表中所述目标防火墙的当前状态。得到一个需要恢复的防火墙，查看改防火墙在数据表 dptech_firewall_times中的的状态statu。
在S304中，在所述当前状态为待执行恢复时，基于同步功能查看所述目标防火墙的修改变量。
在S306中，根据所述修改变量的状态对所述目标防火墙进行处理。如图 4所示，当status为0时，表示所述防火墙的当前状态为待执行恢复调用同步功能，将该防火墙同步到设备，然后查看是否修改，如果为True，说明进行了同步即恢复改变恢复状态status＝2；如果为False，说明没有进行同步，云平台和设备数据一致将防火墙状态改为active。
在S308中，在所述当前状态为正在执行恢复时，获取所述安全规则的修改时间。
在S310中，将修改时间和当前时间进行对比；在对比结果超过时间阈值时，结束所述目标防火墙的同步并更新其当前状态。当status为1时，说明正在执行恢复，同时查看上一次修改时间，对比超时时间，超时则结束该防火墙同步，同时将状态status改为0。
在S312中，在所述当前状态为已执行恢复时，基于同步功能查看所述目标防火墙的修改变量。
在S314中，根据所述修改变量的状态更新所述目标防火墙的当前状态并对所述目标防火墙进行处理。如图5所示，当status为2时，表示当前防火墙已经执行过恢复，此时查看是否修改，如果为False，说明未修改，将防火墙状态恢复为active，恢复装态改status＝0；如果修改结果为True，说明进行了修改，将恢复状态status＝0，同时恢复次数加1，最后判断恢复次数是否等于或大于最大恢复次数，如果大于或等于，修改防火墙状态为RERROR，不再对该防火墙进行恢复。
其中，查看修改的具体过程如下：设置变量update_result,当调用同步功能时，进行了下发设备操作，即认为进行了修改，赋值True，否则赋值False。
本领域技术人员可以理解实现上述实施例的全部或部分步骤被实现为由 CPU执行的计算机程序。在该计算机程序被CPU执行时，执行本申请提供的上述方法所限定的上述功能。所述的程序可以存储于一种计算机可读存储介质中，该存储介质可以是只读存储器，磁盘或光盘等。
此外，需要注意的是，上述附图仅是根据本申请示例性实施例的方法所包括的处理的示意性说明，而不是限制目的。易于理解，上述附图所示的处理并不表明或限制这些处理的时间顺序。另外，也易于理解，这些处理可以是例如在多个模块中同步或异步执行的。
下述为本申请装置实施例，可以用于执行本申请方法实施例。对于本申请装置实施例中未披露的细节，请参照本申请方法实施例。
图6是根据另一示例性实施例示出的一种防火墙安全规则的配置装置的框图。如图6所示，防火墙安全规则的配置装置60包括：下发模块602，状态模块604，目标模块606，恢复模块608。
下发模块602用于将安全规则配置到多个防火墙中；
状态模块604用于根据多个防火墙的状态返回信息生成防火墙规则状态表；更具体的，在防火墙的状态返回信息不为预设信息时，确定所述防火墙的安全规则下发异常；将所述异常记录更新到预设的防火墙规则状态表中。
目标模块606用于在安全规则下发完毕后，基于所述防火墙规则状态表和处于预设状态的防火墙确定目标防火墙；目标模块606还用于基于预设时间间隔，周期性的基于所述防火墙规则状态表和处于预设状态的防火墙确定目标防火墙。
恢复模块608用于基于所述防火墙规则状态表对所述目标防火墙的安全规则进行配置恢复。恢复模块608还用于提取所述防火墙规则状态表中所述目标防火墙的当前状态；基于所述当前状态对所述目标防火墙的安全规则进行配置恢复。
根据本申请的防火墙安全规则的配置装置，通过云平台将安全规则配置到多个防火墙中；根据多个防火墙的状态返回信息生成防火墙规则状态表；在安全规则下发完毕后，基于所述防火墙规则状态表和处于预设状态的防火墙确定目标防火墙；基于所述防火墙规则状态表对所述目标防火墙的安全规则进行配置恢复的方式，能降低由于安全规则配置造成的防火墙异常状况，从而降低业务故障、减低运营成本、增加用户良好体验。
图7是根据一示例性实施例示出的一种电子设备的框图。
下面参照图7来描述根据本申请的这种实施方式的电子设备700。图7 显示的电子设备700仅仅是一个示例，不应对本申请实施例的功能和使用范围带来任何限制。
如图7所示，电子设备700以通用计算设备的形式表现。电子设备700 的组件可以包括但不限于：至少一个处理单元710、至少一个存储单元720、连接不同系统组件(包括存储单元720和处理单元710)的总线730、显示单元740等。
其中，所述存储单元存储有程序代码，所述程序代码可以被所述处理单元710执行，使得所述处理单元710执行本说明书中描述的根据本申请各种示例性实施方式的步骤。例如，所述处理单元710可以执行如图2，图3中所示的步骤。
所述存储单元720可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)7201和/或高速缓存存储单元7202，还可以进一步包括只读存储单元(ROM)7203。
所述存储单元720还可以包括具有一组(至少一个)程序模块7205的程序/实用工具7204，这样的程序模块7205包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。
总线730可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、外围总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。
电子设备700也可以与一个或多个外部设备700’(例如键盘、指向设备、蓝牙设备等)通信，使得用户能与该电子设备700交互的设备通信，和/或该电子设备700能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口750 进行。并且，电子设备700还可以通过网络适配器760与一个或者多个网络 (例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。网络适配器760可以通过总线730与电子设备700的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备700使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、 RAID系统、磁带驱动器以及数据备份存储系统等。
总体而言，本公开如何保证云平台安全规则未能成功下发到硬件设备时，让云平台安全规则在保证一定顺序的情况下，能够再次下发到硬件设备，从而保证其后续相关安全规则配置能够继续下发到硬件设备，最大程度保证云平台上的防火墙处于active状态，同时保证安全规则能正确下发设备。最大程度上减低云平台安全规则不能下发造成的业务故障就是本公开要解决的问题。为此，本公开使云平台防火墙数据和设备一致，并使得未能正常下发设备的数据重新下发。具体而言，首先设计数据库。创建数据表dptech_firewall_times，记录防火墙在下发安全规则过程中是否有状态error情况。字段firewall_id该数据表的主键，firewalls的外键。字段updated_time 记录该条数据更新时间。字段status记录该防火墙被下发设备的状态，0为待执行恢复，1为正在执行恢复，2为已执行恢复。字段recovery_count下发设备次数。字段firewall_error该id的Firewall状态是否为error。然后进行配置。在配置文件增加配置项firewall_time_status_recovery，表示恢复超时时间，默认为900秒。在超出改时间后将恢复状态改为0，下一次重新恢复。在配置文件增加配置项firewall_status。update_time，表示恢复周期，默认为600秒。即每过10分钟检测一次防火墙状态，对符合恢复要求的防火墙进行恢复。在配置文件中增加配置项firewall_recovery_fail_count，表示最大恢复次数，默认为10次。当回复次数达到最大值，将不再恢复改防火墙。最后，server层数据准备。记录防火墙状态error数据。在安全规则下发设备后会有状态返回，此时，若状态不是active、down、inactive，都在表dptech_firewall_times记录，已做恢复数据之用。周期性状态检测。设置防火墙的状态检测时间，周期性的调用状态检测及恢复的方法。防火墙状态恢复。获取需要恢复的firewalls。当一个防火墙包含多条安全规则时，不论其中有几条规则下发设备未成功，只要最后一条成功，该防火墙的状态就是active，而dptech_firewall_times表的存在可以记录在该防火墙下发安全规则过程中是否有error状态。获取 dptech_firewall_times表中firewall_error为True并且恢复次数不超过最大恢复次数也就是配置firewall_recovery_fail_count的数据，然后获取状态为DOWN、PENDING_CREATE、PENDING_UPDATE、ERROR的Firewalls，二者相加去重就是需要状态恢复的Firewalls。遍历需要恢复的Firewalls，恢复状态得到一个需要恢复的防火墙，查看改防火墙在数据表dptech_firewall_times中的的状态status。当status为0时，调用同步功能，将该firewall同步到设备，然后查看是否修改(下面进行说明)，如果为True，说明进行了同步即恢复改变恢复状态status＝2；如果为False，说明没有进行同步，云平台和设备数据一致将防火墙状态改为active(如图4所示)。当status为1时，说明正在同步，同时查看上一次修改时间，对比超时时间，超时则结束该防火墙同步，同时将状态status改为0。当状态为2时，查看是否修改，如果为False，说明未修改，将firewall状态恢复为active，恢复装态改status＝0；如果修改结果为 True，说进行了修改，将恢复状态status＝0，同时恢复次数加1，最后判断恢复次数是否等于或大于最大恢复次数，如果大于或等于，修改firewall状态为RERROR，不再对该防火墙进行恢复(如图5所示)。查看修改。设置变量update_result,当调用同步功能时，进行了下发设备操作，即认为进行了修改，赋值True，否则赋值False。
通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，如图8所示，根据本申请实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是 CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、或者网络设备等)执行根据本申请实施方式的上述方法。
所述软件产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。
所述计算机可读存储介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读存储介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。
可以以一种或多种程序设计语言的任意组合来编写用于执行本申请操作的程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、 C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN) 或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备 (例如利用因特网服务提供商来通过因特网连接)。
上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被一个该设备执行时，使得该计算机可读介质实现如下功能：云平台将安全规则配置到多个防火墙中；根据多个防火墙的状态返回信息生成防火墙规则状态表；在安全规则下发完毕后，基于所述防火墙规则状态表和处于预设状态的防火墙确定目标防火墙；基于所述防火墙规则状态表对所述目标防火墙的安全规则进行配置恢复。
本领域技术人员可以理解上述各模块可以按照实施例的描述分布于装置中，也可以进行相应变化唯一不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。
通过以上的实施例的描述，本领域的技术人员易于理解，这里描述的示例实施例可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本申请实施例的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、移动终端、或者网络设备等)执行根据本申请实施例的方法。
以上具体地示出和描述了本申请的示例性实施例。应可理解的是，本申请不限于这里描述的详细结构、设置方式或实现方法；相反，本申请意图涵盖包含在所附权利要求的精神和范围内的各种修改和等效设置。

Claims (6)

1.一种防火墙安全配置方法，其特征在于，包括：
云平台将安全规则配置到多个防火墙中；
根据多个防火墙的状态返回信息生成防火墙规则状态表；
在安全规则下发完毕后，基于所述防火墙规则状态表和处于预设状态的防火墙确定目标防火墙；
提取所述防火墙规则状态表中所述目标防火墙的当前状态；
在所述当前状态为待执行恢复时，基于同步功能查看所述目标防火墙的修改变量，根据所述修改变量的状态对所述目标防火墙进行处理；
在所述当前状态为正在执行恢复时，获取所述安全规则的修改时间，将修改时间和当前时间进行对比，并在对比结果超过时间阈值时，结束所述目标防火墙的同步并更新其当前状态；以及
在所述当前状态为已执行恢复时，基于同步功能查看所述目标防火墙的修改变量，并根据所述修改变量的状态更新所述目标防火墙的当前状态并对所述目标防火墙进行处理。
2.如权利要求1所述的配置方法，其特征在于，根据多个防火墙的状态返回信息生成防火墙规则状态表，包括：
在防火墙的状态返回信息不为预设信息时，确定所述防火墙的安全规则下发异常；
将所述异常记录更新到预设的防火墙规则状态表中。
3.如权利要求2所述的配置方法，其特征在于，将所述异常记录到所述防火墙规则状态表中，包括：
将下发异常的防火墙的标识作为所述防火墙规则状态表的主键；
基于安全规则的更新时间、下发设备次数、异常标识、当前状态更新所述防火墙规则状态表。
4.如权利要求1所述的配置方法，其特征在于，基于所述防火墙规则状态表和处于预设状态的防火墙确定目标防火墙，包括：
基于预设时间间隔，周期性的基于所述防火墙规则状态表和处于预设状态的防火墙确定目标防火墙。
5.如权利要求1所述的配置方法，其特征在于，基于所述防火墙规则状态表和处于预设状态的防火墙确定目标防火墙，包括：
基于所述防火墙规则状态表提取带有异常标识的第一防火墙；
提取处于预设状态的第二防火墙；
基于第一防火墙和第二防火墙生成所述目标防火墙。
6.一种防火墙安全配置装置，其特征在于，包括：
下发模块，用于云平台将安全规则配置到多个防火墙中；
状态模块，用于根据多个防火墙的状态返回信息生成防火墙规则状态表；
目标模块，用于在安全规则下发完毕后，基于所述防火墙规则状态表和处于预设状态的防火墙确定目标防火墙；
恢复模块，用于提取所述防火墙规则状态表中所述目标防火墙的当前状态，在所述当前状态为待执行恢复时，基于同步功能查看所述目标防火墙的修改变量，根据所述修改变量的状态对所述目标防火墙进行处理，在所述当前状态为正在执行恢复时，获取所述安全规则的修改时间，将修改时间和当前时间进行对比，并在对比结果超过时间阈值时，结束所述目标防火墙的同步并更新其当前状态，以及在所述当前状态为已执行恢复时，基于同步功能查看所述目标防火墙的修改变量，并根据所述修改变量的状态更新所述目标防火墙的当前状态并对所述目标防火墙进行处理。
CN202210094516.1A 2022-01-26 2022-01-26 防火墙安全配置方法及装置 Active CN114679295B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210094516.1A CN114679295B (zh) 2022-01-26 2022-01-26 防火墙安全配置方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210094516.1A CN114679295B (zh) 2022-01-26 2022-01-26 防火墙安全配置方法及装置

Publications (2)

Publication Number Publication Date
CN114679295A CN114679295A (zh) 2022-06-28
CN114679295B true CN114679295B (zh) 2023-05-26

Family

ID=82072251

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210094516.1A Active CN114679295B (zh) 2022-01-26 2022-01-26 防火墙安全配置方法及装置

Country Status (1)

Country Link
CN (1) CN114679295B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115333871B (zh) * 2022-10-17 2023-01-06 建信金融科技有限责任公司 防火墙的运维方法及装置、电子设备和可读存储介质

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110912916A (zh) * 2019-11-29 2020-03-24 杭州安恒信息技术股份有限公司 一种web应用防火墙配置同步方法、装置、设备、介质

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104125192A (zh) * 2013-04-23 2014-10-29 鸿富锦精密工业（深圳）有限公司 虚拟机安全保护系统及方法
US9106610B2 (en) * 2013-06-07 2015-08-11 International Business Machines Corporation Regional firewall clustering in a networked computing environment
US9215210B2 (en) * 2014-03-31 2015-12-15 Nicira, Inc. Migrating firewall connection state for a firewall service virtual machine
CN106209425A (zh) * 2016-06-28 2016-12-07 上海携程商务有限公司 基于交换机的防火墙自动bypass的方法及系统
US11088990B2 (en) * 2016-06-29 2021-08-10 Nicira, Inc. Translation cache for firewall configuration
US10708229B2 (en) * 2017-11-15 2020-07-07 Nicira, Inc. Packet induced revalidation of connection tracker
CN111786949B (zh) * 2020-05-22 2023-04-07 山东鲁软数字科技有限公司 防火墙安全策略自动适配系统及方法
CN112383507B (zh) * 2020-10-16 2023-07-11 深圳力维智联技术有限公司 防火墙策略管理方法、装置、系统与计算机可读存储介质

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110912916A (zh) * 2019-11-29 2020-03-24 杭州安恒信息技术股份有限公司 一种web应用防火墙配置同步方法、装置、设备、介质

Also Published As

Publication number Publication date
CN114679295A (zh) 2022-06-28

Similar Documents

Publication Publication Date Title
US11269718B1 (en) Root cause detection and corrective action diagnosis system
US10387241B2 (en) Cognitive analysis for healing an IT system
US10248910B2 (en) Detection mitigation and remediation of cyberattacks employing an advanced cyber-decision platform
US10686807B2 (en) Intrusion detection system
US9794153B2 (en) Determining a risk level for server health check processing
CN106997314B (zh) 用于分布式系统的异常处理方法、装置及系统
CN112534432A (zh) 不熟悉威胁场景的实时缓解
CN111108733B (zh) 在基于网络功能虚拟化(nfv)的通信网络和软件定义的网络(sdns)中提供安全性的系统、方法和计算机程序
WO2016176373A1 (en) Systems and methods for evaluating content provided to users via user interfaces
US8332690B1 (en) Method and apparatus for managing failures in a datacenter
US9934378B1 (en) Systems and methods for filtering log files
US20200099570A1 (en) Cross-domain topological alarm suppression
CN109450869B (zh) 一种基于用户反馈的业务安全防护方法
CN114679295B (zh) 防火墙安全配置方法及装置
CN114650187B (zh) 一种异常访问检测方法、装置、电子设备及存储介质
CN115495424A (zh) 数据处理的方法、电子设备和计算机程序产品
CN114449040B (zh) 基于云平台的配置下发方法及装置
US20180351982A1 (en) Reparsing Unsuccessfully Parsed Event Data in a Security Information and Event Management System
CN113672416B (zh) 硬buffer泄漏的原因定位方法及装置
CN112882892B (zh) 数据处理方法和装置、电子设备及存储介质
CN111079140A (zh) 用于防作弊的方法、设备和系统
CN108874625B (zh) 信息处理方法及装置、电子设备、存储介质
CN112817827A (zh) 运维方法、装置、服务器、设备、系统及介质
US20200202230A1 (en) Cognitive device support for potentially affected devices
CN113760589A (zh) 一种基于实时流处理框架的服务熔断方法和装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant